PUJ - Delitos Financieros Abril/2017

Ciberseguridad empresarial:
De las prácticas de aseguramiento a las capacidades
de defensa

Jeimy J. Cano M., Ph.D, CFE

GECTI – Facultad de Derecho
Universidad de los Andes
COLOMBIA

JCM-17 All rights reserved

Introducción

• Introducción
• Fundamentos conceptuales: ciberseguridad empresarial
• Transformación de prácticas de protección de la información
• Capacidades organizaciones: ecosistemas digitales
• De las prácticas a las capacidades
• Referencias

JCM-17 All rights reserved

JCM-17 All rights reserved 1

PUJ - Delitos Financieros Abril/2017

Introducción

JCM-17 All rights reserved

Introducción

Groysberg, B. y Cheng, Y. (2016) The Political Issues Board Directors Care Most About. Harvard Business Review. Febrero. Recuperado de:
https://hbr.org/2016/02/the-political-issues-board-directors-care-most-about

JCM-17 All rights reserved

JCM-17 All rights reserved 2

PUJ - Delitos Financieros Abril/2017

Introducción

Grandes
Computación Redes Computación Computación Internet de
datos y
cognitiva sociales móvil en la nube las cosas
analítica

Datos personales y corporativos

JCM-17 All rights reserved

Introducción

Tomado de:
https://cchs.gwu.edu/sites/cchs.gwu.edu/files/Respondi
ng%20to%20Cybercrime%20at%20Scale%20FINAL.pdf

JCM-17 All rights reserved

JCM-17 All rights reserved 3

PUJ - Delitos Financieros Abril/2017

Fundamentos conceptuales:
ciberseguridad empresarial

JCM-17 All rights reserved

Fundamentos conceptuales: ciberseguridad empresarial

IV
Seguridad de la
Ciber seguridad Información

Seguridad de la
Ciber seguridad
Información
Seguridad de la Ciber seguridad
información

I II

Ciber seguridad Seguridad de la

Información

III

JCM-17 All rights reserved

JCM-17 All rights reserved 4

PUJ - Delitos Financieros Abril/2017

Fundamentos conceptuales: ciberseguridad empresarial

Mundo Mundo Mundo

Tomado de: ALXELROD, W.C (2013) Engineering Safe and Secure Software

Exterior Exterior Exterior

Ataques Ataques

Sistema Sistema Sistema

Systems. Artech House

Security Safety Security+Safety

JCM-17 All rights reserved

Fundamentos conceptuales: ciberseguridad empresarial

Tomado de: ALXELROD, W.C (2013) Engineering Safe and Secure Software

Mundo Mundo Mundo

Exterior Exterior Exterior Ciberseguridad empresarial
Ataques Ataques
Es una capacidad empresarial definida
para defender y anticipar las amenazas
Sistema Sistema Sistema digitales propias del ecosistema donde la
organización actúa, con el fin de
Systems. Artech House

desarrollar y fortalecer la resiliencia de las

operaciones y la reputación de la empresa.
Security Safety Security+Safety

JCM-17 All rights reserved

JCM-17 All rights reserved 5

PUJ - Delitos Financieros Abril/2017

Transformación de prácticas de protección

de la información

JCM-17 All rights reserved

Vulnerabilidades en redes de computadores

JCM-17 All rights reserved

JCM-17 All rights reserved 6

PUJ - Delitos Financieros Abril/2017

Defensa en profundidad
Tomado de: http://www.sentineldr.com/post/estrategias-basicas-de-seguridad-
informatica-defensa-en-profundidad

JCM-17 All rights reserved

Dominios de seguridad de la información

Seguridad Seguridad Seguridad

Punto final Redes Datos

Seguridad Gestión Seguridad

Comunicaciones Vulnerabilidades Software

Gestión Gestión Seguridad

Controles de TI Identidad Móviles

Proteger y asegurar

Prácticas

JCM-17 All rights reserved

JCM-17 All rights reserved 7

PUJ - Delitos Financieros Abril/2017

Capacidades organizaciones:
ecosistemas digitales

JCM-17 All rights reserved

Valor de los ciberataques

Absorción ágil de las discontinui-

Activos valiosos en línea dades tecnológicas

Redes digitales abiertas e Ecosistemas digitales Ciberataques

interconectadas

Cambio de percepción:
Atacantes sofisticados Incertidumbre e inestabilidad

Ideas adaptadas de: Kaplan, J., Bailey, T., O’Halloran, D., Marcus, A. y Rezek, C. (2015) Beyond cybersecurity. Protecting your digital business. Hoboken, New Jersey. USA: Wiley.

JCM-17 All rights reserved

JCM-17 All rights reserved 8

PUJ - Delitos Financieros Abril/2017

INFOSEC: De saberes especializados a capacidades colectivas

Saberes Capacidades
especializados colectivas

VISIÓN COGNITIVA
Alta

Simulaciones y 1 Juegos de guerra

escenarios

2 2 Ejercicios de
Generación de valor

3 1 ingeniería social
3 Inteligencia de
amenazas
5 VISIÓN ANALÍTICA 4 Análisis de riesgos
Identificación de brechas de INFOSEC
5 Auditorías de
4 INFOSEC
6 VISIÓN DE ACTIVOS
Identificación de 6 Análisis de
Baja

puntos de control vulnerabilidades

Táctico Prácticas de INFOSEC Estratégico

JCM-17 All rights reserved

Cibersegurdad empresarial: Capacidades claves

1. PERCIBIR O SENSAR
Buscar oportunidades y/o
amenazas nuevas o
emergentes. 4. VISUALIZAR
Identificar patrones y tendencias en
DISCONTINUIDAD
medio de la incertidumbre TECNOLÓGICA
estructural vigente. 6. SIMULAR
Experimentar y ACTIVOS
2. CAPTAR
validar patrones y ATACANTES DIGITALES
Aprovechar y capturar las escenarios para CLAVES
oportunidades después de tomar posiciones
que sean reconocidas. estratégicamente ECOSISTEMA
5. ANTICIPAR claves en el entorno. DIGITAL
Concretar escenarios posibles y
probables.
3. RECONFIGURAR
Transformar, cambiar y
modificar los procesos
existentes.

Capacidad:
Un patrón de aprendizaje y desaprendizaje de construcción colectiva a través del cual una organización y sus colaboradores generan, modifican y actualizan sistémica y sistemáticamente sus
reflexiones ejecutivas y rutinas operativas para alcanzar una mayor efectividad en sus procesos y un mejor posicionamiento estratégico. Adaptado de: Su, H. y Linderman, K. (2016) An Empirical
Investigation in Sustaining High-Quality Performance. Decision Sciences. 47, 5. October.

JCM-17 All rights reserved

JCM-17 All rights reserved 9

PUJ - Delitos Financieros Abril/2017

De las prácticas a las capacidades

JCM-17 All rights reserved

De las prácticas a las capacidades

Valor potencial

Alta Defender Anticipar

Los activos de información claves Las amenazas y riesgos emergentes
Capacidades

Baja
Proteger Asegurar
Programa de seguridad de la información Información en los procesos críticos del negocio Prácticas

Baja Alta Importancia

estratégica
Capacidad:
Un patrón de aprendizaje y desaprendizaje de construcción colectiva a través del cual una organización y sus colaboradores generan, modifican y actualizan sistémica y sistemáticamente sus
reflexiones ejecutivas y rutinas operativas para alcanzar una mayor efectividad en sus procesos y un mejor posicionamiento estratégico. Adaptado de: Su, H. y Linderman, K. (2016) An Empirical
Investigation in Sustaining High-Quality Performance. Decision Sciences. 47, 5. October.

JCM-17 All rights reserved

JCM-17 All rights reserved 10

PUJ - Delitos Financieros Abril/2017

De las prácticas a las capacidades

the-immune-system-how-to-boost-your-security-hygiene/
Security Hygiene. Recuperado de: https://securityintelligence.com/news/unleashing-
Adaptado de: Falco, C. (2016) Unleashing the Immune System: How to Boost Your
Dominios de seguridad Ecosistema de seguridad
Analítica
de
seguridad
Punto
Seguridad Seguridad Seguridad Redes
final
Punto final Redes Datos

Seguridad Gestión Seguridad Seguridad

Móviles Fraude
cognitiva
Comunicaciones Vulnerabilidades Software

Datos
Gestión Gestión Seguridad y apps
Identidad
Controles de TI Identidad Móviles
Nube

Proteger y asegurar Defender y anticipar

Prácticas Capacidades

JCM-17 All rights reserved

Conclusiones

JCM-17 All rights reserved

JCM-17 All rights reserved 11

PUJ - Delitos Financieros Abril/2017

Conclusiones
Se mueven hacia las personas
Ciberseguridad Perímetros y sus relaciones digitales
empresarial
De proteger y asegurar a
Procesos defender y anticipar

De la protección de la
Tecnología información a la seguridad
cognitiva

Del control de acceso al

Ecosistema digital control de uso: Productos y
servicios digitalmente
modificados

JCM-17 All rights reserved

Para seguir reflexionando …

Referencia académica:

Cano, J. (2016) Manual de un CISO. Reflexiones no

convencionales sobre la gerencia de la seguridad
de la información en un mundo VICA (Volátil,
Incierto, Complejo y Ambiguo). Bogotá, Colombia:
Ediciones de la U.
Enlace en la página de la Editorial: (Ebook)
https://edicionesdelau.com/producto/manual-de-un-ciso-2/

JCM-17 All rights reserved

JCM-17 All rights reserved 12

PUJ - Delitos Financieros Abril/2017

Ciberseguridad empresarial:
De las prácticas de aseguramiento a las capacidades
de defensa

Jeimy J. Cano M., Ph.D, CFE

GECTI – Facultad de Derecho Blog:
http://insecurityit.blogspot.com.co
@itinsecure Universidad de los Andes
COLOMBIA

JCM-17 All rights reserved

JCM-17 All rights reserved 13